Политика обработки персональных данных в АО «РетнНет»

1. Общие положения

1.1. Настоящая политика обработки персональных данных (далее – Политика) в АО «РетнНет» (ОГРН 1057747699261, ИНН 7725545445, 105064, г. Москва, пер. Нижний Сусальный, д. 5, стр. 19) (далее - Общество, Оператор) является документом, определяющим политику Оператора в отношении обработки персональных данных по смыслу статьи 18.1 Федерального закона Российской Федерации от 27.06.2006 №152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ).

1.2. Политика разработана в соответствии с действующим законодательством Российской Федерации в области персональных данных, обязательна для исполнения всеми лицами, непосредственно осуществляющими обработку персональных данных в Обществе. Нарушение порядка обработки персональных данных, определенного Политикой, влечет материальную, дисциплинарную, гражданскую, административную и уголовную ответственность в соответствии с нормами действующего законодательства Российской Федерации.

1.3. Все персональные данные, обрабатываемые Оператором, являются конфиденциальной информацией.

1.4. Действие Политики распространяется на персональные данные всех категорий субъектов персональных данных, обрабатываемые Обществом за исключением категорий субъектов, данные которых обрабатываются на официальном сайте Общества. В отношении категорий субъектов персональных данных, обрабатываемых на сайте Общества, применяется Политика конфиденциальности, утвержденная приказом от 10.06.2021г. и размещенная на сайте Общества.

2. Термины и определения

2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Персональные данные, разрешенные субъектом персональных данных для распространения, — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Законом № 152-ФЗ.

2.2. Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

2.3. Субъект персональных данных — человек (физическое лицо), чьи персональные данные обрабатываются.

2.4. Оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Для целей настоящей Политики Общество, обрабатывая персональные данные, является оператором, если иное прямо не указано в Политике.

2.5. Информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

2.6. Прочие термины и определения, применяемые в настоящей Политике, имеют значения, определяемые действующим законодательством и иными нормативными правовыми актами Российской Федерации, если иное прямо не указано в настоящей Политике.

3. Общие положения по организации обработки и обеспечению безопасности персональных данных

3.1. Необходимость формирования порядка организации обработки персональных данных обусловлена требованиями действующих нормативных правовых актов, устанавливающими для Оператора обязанности по соответствию объема и содержания обрабатываемых персональных данных заявленным целям сбора, соблюдению основных принципов и условий обработки персональных данных, в том числе получению согласия субъектов на обработку их персональных данных.

3.2. Оператором разрабатывается система локальных нормативных актов по вопросам обработки персональных данных, а также локальных нормативных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства РФ в области персональных данных, устранение последствий таких нарушений.

3.3. Оператор разрабатывает и размещает в свободном доступе документ, определяющий политику Оператора в отношении обработки персональных данных, сведения о реализуемых требованиях к защите персональных данных.

3.4. Работники Оператора, непосредственно осуществляющие обработку персональных данных, знакомятся с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, документами, определяющими политику Оператора в отношении обработки персональных данных, локальными нормативными актами по вопросам обработки персональных данных, и (или) проходят соответствующее обучение.

3.5. Выполнение требований законодательства РФ в области организации обработки персональных данных контролируется Комиссией по приведению деятельности Общества в соответствие с требованиями законодательства в области персональных данных, созданной приказом Генерального директора Общества, и лицом, ответственным за организацию обработки персональных данных, посредством проведения внутреннего контроля.

4. Цели обработки, категории и перечень обрабатываемых персональных данных, категории субъектов персональных данных, способы, сроки их обработки и хранения, порядок уничтожения

4.1. Цели обработки, категории и перечень обрабатываемых персональных данных, категории субъектов персональных данных, способы, сроки их обработки и хранения устанавливаются приложением № 1 «Реестр процессов обработки персональных данных» к Положению об обработке персональных данных в АО «РетнНет».

4.2. Порядок уничтожения персональных данных установлен разделом 10 Положения об обработке персональных данных в АО «РетнНет».

5. Улучшение порядка обработки персональных данных

5.1. Оператор регулярно проводит внутренний контроль и аудит в соответствии с порядком, установленным разделом 13 Положения об обработке персональных данных в АО «РетнНет».

5.2. Реестр процессов обработки персональных данных обновляется в зависимости от изменений бизнес-процессов Общества и по мере необходимости.

5.3. Комиссия по приведению деятельности Общества в соответствие с требованиями законодательства в области персональных данных участвует в улучшении порядка управления и обеспечения обработки персональных данных.

6. Основные правила обработки персональных данных

6.1. Обработка персональных данных осуществляется Оператором в соответствии со следующими принципами:

• обработка персональных данных осуществляется на законной и справедливой основе;
• обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей; не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
• не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только персональные данные, которые отвечают целям их обработки;
• содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки; обрабатываемые персональные данные не избыточны по отношению к заявленным целям их обработки;
• при обработке персональных данных обеспечиваются точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных; Оператор принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных, или неточных данных;
• хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных;
• обрабатываемые персональные данные подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

6.2. Доступ к персональным данным имеют работники Оператора, которые обязаны осуществлять их обработку в связи с исполнением своих обязанностей. Перечень работников, допущенных к обработке персональных данных, утвержден приказом Оператора. Порядок доступа к персональным данным установлен разделом 9 Положения об обработке персональных данных в АО «РетнНет».

7. Соглашение о поручении обработки персональных данных

7.1. В соответствии с частью 3 статьи 6 Закона № 152-ФЗ Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора.

7.2. Общество привлекает третье лицо в случае отсутствия или недостатка необходимого уровня собственных компетенций или ресурсов для достижения соответствующего результата (например, для более рационального использования собственных мощностей путем принятия в аренду оптических волокон или оборудования) или когда Общество сочтет более эффективным привлечь подрядчиков (например, Общество может обратиться к третьим лицам с заказами на разработку или расширение функций программного обеспечения для обработки заказов, поступающих со стороны выросшего количества абонентов).

7.3. Привлеченное третье лицо обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом № 152-ФЗ, иными законами и подзаконными актами. Поручением между Обществом и третьим лицом закрепляются следующие положения:

• перечень обрабатываемых персональных данных;
• перечень действий (операций), которые будут совершаться с персональными данными;
• цели обработки персональных данных;
• обязанности такого лица по соблюдению конфиденциальности персональных данных;
• обязанности третьего лица обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 Закона № 152-ФЗ;
• обязанности третьего лица принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом № 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами, самостоятельно определяя состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом № 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом № 152-ФЗ или другими федеральными законами;
• обязанность третьего лица по запросу Общества в течение срока действия поручения на обработку персональных данных предоставлять Обществу документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения Общества требований, установленных Законом № 152-ФЗ;
• обязанность третьего лица обеспечивать безопасность персональных данных при их обработке;
• перечень требований, обращенных к третьму лицу в части защиты обрабатываемых персональных данных в соответствии со статьей 19 Закона № 152-ФЗ, в том числе требование об уведомлении оператора о случаях, предусмотренных частью 3.1 статьи 21 Закона № 152-ФЗ.

8. Права субъекта персональных данных

8.1. Лицо, персональные данные которого обрабатываются Обществом (далее - субъект персональных данных), имеет следующие права:

• на доступ к своим персональным данным;
• на уточнение своих персональных данных;
• на блокирование и удаление своих персональных данных;
• на обжалование действий или бездействия Общества;
• на отзыв согласия на обработку персональных данных.

8.2. Если иной порядок взаимодействия Общества и субъекта персональных данных не предусмотрен соответствующим документом между ними (например, договором или текстом согласия на обработку персональных данных), реализация указанных прав субъектом персональных данных осуществляется путем направления Обществу заявления:

• в письменной форме и подписанного собственноручной подписью — по адресу 105064, г. Москва, пер. Нижний Сусальный, д. 5, стр. 19; либо
• в виде электронного документа и подписанного электронной подписью — на электронную почту PersonalData@retn.ru.

8.3. Такое заявление должно в обязательном порядке содержать описание требований субъекта персональных данных, а также следующие сведения:

• Фамилию, имя, отчество (при наличии) субъекта персональных данных;
• Номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе , сведения о документах, удостоверяющих полномочия представителя субъекта персональных данных (имеющего право действовать от имени субъекта персональных данных);
• сведения, подтверждающие участие субъекта персональных данных в отношениях с Обществом, либо сведения, иным способом подтверждающие факт обработки персональных данных Обществом;
• подпись субъекта персональных данных или его представителя.

9. Сведения о реализуемых требованиях к защите персональных данных

9.1. Общество при обработке персональных данных принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

9.2. Перечень правовых, организационных и технических мер, а также процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации в области персональных данных установлены разделом 12 Положения об обработке персональных данных в АО «РетнНет».

10. Заключительные положения

10.1. Политика вступает в силу с момента ее утверждения приказом генерального директора Оператора и действует до введения новой.

10.2. Контроль соблюдения требований настоящей Политики, а также ее актуализацию осуществляет лицо, ответственное за организацию обработки персональных данных.